Sobald es in der digitalen Wildnis freigesetzt wird, tut Malware alles, um so viele Computer wie möglich zu infizieren – aber dieses Verhalten kann sich gegen sie wenden, wenn auf der anderen Seite ein Forscher wartet. Viele Entwickler haben ihre Schädlinge so modifiziert, dass sie sich nicht in virtuellen Maschinen installieren. Das erreichen sie, indem sie bestimmte Prozesse erkennen, die mit Ressourcen wie VirtualBox und VMWare verbunden sind. AntiFooling ist ein Werkzeug, dessen Ziel es ist, diese Prozesse auf einem normalen Computer zu simulieren und so die Malware zu täuschen.
Malware-Entwickler wollen, dass ihre Kreationen überall hinkommen und natürlich nicht auf dem Weg erwischt werden. Sobald ein Sicherheitsexperte oder ein Forscher eine Kopie erhält, kann er höchstwahrscheinlich irgendeine Art von Werkzeug oder Mechanismus entwickeln, der ihre Funktionsweise blockiert. Ein weiterer wichtiger Aspekt ist das Studium des Verhaltens der Malware innerhalb einer virtuellen Maschine, aber es gibt bereits viele Varianten, die erkennen können, ob sie sich in einer isolierten Umgebung befinden oder nicht. VMWare und VirtualBox fügen eine Reihe von Prozessen zu ihren Gastsystemen hinzu, die den korrekten Betrieb von Elementen wie Audio, Video und Eingabegeräten gewährleisten. Die Malware muss nur das Vorhandensein dieser Prozesse erkennen und so eine unerwünschte Entdeckung vermeiden. Aber was, wenn wir das gegen sie verwenden ...?
Hier kommt AntiFooling ins Spiel, ein Werkzeug, das vom Benutzer Scorpio aus dem Forum Indetectables.net erstellt wurde. Kurz gesagt: AntiFooling täuscht Malware, indem es auf einem herkömmlichen Computer jene Prozesse installiert, die wir in einer virtuellen Maschine sehen. Mit dieser Technik kann die Malware einen echten Computer nicht von einem virtuellen unterscheiden und vermeidet es, ihn zu infizieren, um ihre Integrität zu schützen. AntiFooling bietet zwei Wege: eine VirtualBox- oder eine VMWare-Umgebung simulieren. Theoretisch sollten beide gleich effektiv sein, da es keinen Sinn ergibt, eine virtuelle Maschine zu blockieren und die andere zu ignorieren, obwohl es möglich ist, beide gleichzeitig zu aktivieren. AntiFooling benötigt keine formelle Installation, und um es mit dem Betriebssystem starten zu lassen, müssen wir nur ein Kästchen anhaken.
Persönlich glaube ich nicht, dass es Verteilungsprobleme für AntiFooling gibt, denn die fraglichen Prozesse wurden nicht aus ihren ursprünglichen Programmen extrahiert, sondern sind so etwas wie 'Platzhalter', mit einer Größe von 808 Kilobyte in allen Fällen (312 KB in der x32-Edition). AntiFooling ist eine interessante Art des Schutzes, aber ideal wäre es, wenn die Malware gar nicht erst auf unsere Computer gelangt ...
(Anm. d. Red.: Der Zugang zum Download erfordert ein Konto bei Indetectables, aber der Link führt direkt zu einer Kopie, die bei Sendspace gehostet wird.)
